“组织政策”审核日志记录

本文档介绍了组织政策服务的审核日志记录。 Google Cloud 服务会生成审核日志，以记录 Google Cloud 资源中的管理和访问活动。如需详细了解 Cloud Audit Logs，请参阅以下内容：

备注

本文档介绍了用于管理组织政策的服务的审核日志记录。如需详细了解“政策拒绝”日志本身，请参阅 VPC Service Controls。

服务名称

组织政策服务审核日志使用服务名称 orgpolicy.googleapis.com。针对此服务的过滤条件：

    protoPayload.serviceName="orgpolicy.googleapis.com"

方法（按权限类型）

每个 IAM 权限都有一个 type 属性，该属性的值是一个枚举，可以是以下四个值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。当您调用某个方法时，Organization Policy Service 会生成一个审核日志，其类别取决于执行该方法所需权限的 type 属性。 需要 IAM 权限且 type 属性值为 DATA_READ、DATA_WRITE 或 ADMIN_READ 的方法会生成数据访问审核日志。需要 IAM 权限且 type 属性值为 ADMIN_WRITE 的方法会生成管理员活动审核日志。

以下列表中标记为 (LRO) 的 API 方法是长时间运行的操作 (LRO)。 这些方法通常会生成两条审核日志条目：一条在操作开始时生成，另一条在操作结束时生成。如需了解详情，请参阅长时间运行的操作的审核日志。
权限类型 方法
ADMIN_READ google.cloud.orgpolicy.v2.OrgPolicy.GetCustomConstraint
google.cloud.orgpolicy.v2.OrgPolicy.GetEffectivePolicy
google.cloud.orgpolicy.v2.OrgPolicy.GetPolicy
google.cloud.orgpolicy.v2.OrgPolicy.ListConstraints
google.cloud.orgpolicy.v2.OrgPolicy.ListCustomConstraints
google.cloud.orgpolicy.v2.OrgPolicy.ListPolicies
ADMIN_WRITE google.cloud.orgpolicy.v2.OrgPolicy.CreateCustomConstraint
google.cloud.orgpolicy.v2.OrgPolicy.CreatePolicy
google.cloud.orgpolicy.v2.OrgPolicy.DeleteCustomConstraint
google.cloud.orgpolicy.v2.OrgPolicy.DeletePolicy
google.cloud.orgpolicy.v2.OrgPolicy.UpdateCustomConstraint
google.cloud.orgpolicy.v2.OrgPolicy.UpdatePolicy

API 接口审核日志

如需了解如何针对每种方法评估权限以及评估哪些权限，请参阅 Organization Policy Service 的 Identity and Access Management 文档。

google.cloud.orgpolicy.v2.OrgPolicy

以下审核日志与属于 google.cloud.orgpolicy.v2.OrgPolicy 的方法相关联。

CreateCustomConstraint

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.CreateCustomConstraint
  • 审核日志类型：管理员活动
  • 权限：
    • orgpolicy.customConstraints.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.CreateCustomConstraint"

CreatePolicy

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.CreatePolicy
  • 审核日志类型：管理员活动
  • 权限：
    • orgpolicy.policies.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.CreatePolicy"

DeleteCustomConstraint

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.DeleteCustomConstraint
  • 审核日志类型：管理员活动
  • 权限：
    • orgpolicy.customConstraints.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.DeleteCustomConstraint"

DeletePolicy

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.DeletePolicy
  • 审核日志类型：管理员活动
  • 权限：
    • orgpolicy.policies.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.DeletePolicy"

GetCustomConstraint

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.GetCustomConstraint
  • 审核日志类型：数据访问
  • 权限：
    • orgpolicy.customConstraints.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.GetCustomConstraint"

GetEffectivePolicy

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.GetEffectivePolicy
  • 审核日志类型：数据访问
  • 权限：
    • orgpolicy.policy.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.GetEffectivePolicy"

GetPolicy

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.GetPolicy
  • 审核日志类型：数据访问
  • 权限：
    • orgpolicy.policy.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.GetPolicy"

ListConstraints

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.ListConstraints
  • 审核日志类型：数据访问
  • 权限：
    • orgpolicy.constraints.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.ListConstraints"

ListCustomConstraints

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.ListCustomConstraints
  • 审核日志类型：数据访问
  • 权限：
    • orgpolicy.customConstraints.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.ListCustomConstraints"

ListPolicies

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.ListPolicies
  • 审核日志类型：数据访问
  • 权限：
    • orgpolicy.policies.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.ListPolicies"

UpdateCustomConstraint

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.UpdateCustomConstraint
  • 审核日志类型：管理员活动
  • 权限：
    • orgpolicy.customConstraints.update - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.UpdateCustomConstraint"

UpdatePolicy

  • 方法：google.cloud.orgpolicy.v2.OrgPolicy.UpdatePolicy
  • 审核日志类型：管理员活动
  • 权限：
    • orgpolicy.policies.update - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.orgpolicy.v2.OrgPolicy.UpdatePolicy"